---
title: "Campanha de conscientização: o que exige e o que mede | Whalemate"
description: "ISO, PCI DSS, CIS, NIST, ENISA e Califórnia não exigem a mesma coisa. O cruzamento mostra o que medir, guardar"
url: https://www.whalemate.com/br/recursos/blog/campanha-conscientizacao-exige-mede/
lang: pt-BR
updated: 2026-10-30
alternates:
  es: https://www.whalemate.com/recursos/blog/campana-concientizacion-exige-mide/
  en: https://www.whalemate.com/en/resources/blog/awareness-campaigns-what-they-require/
index: https://www.whalemate.com/llms.txt
---

[Voltar ao blog](https://www.whalemate.com/br/recursos/blog/)

Blog

# Campanha de conscientização: o que exige e o que mede

ISO, PCI DSS, CIS, NIST, ENISA e Califórnia não exigem a mesma coisa. O cruzamento mostra o que medir, guardar

30 de out. de 2026
Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/)
11 min de leitura

[Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/)

![Campanha de conscientização: o que exige e o que mede](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campanha-conscientizacao-exige-mede.webp)

Neste artigo

1. [Basta cumprir o piso anual de PCI DSS e CIS?](#s1)
2. [Por que o próprio CIS desmonta a ideia de que o curso anual basta?](#s2)
3. [O que NIST, ENISA e Califórnia acrescentam que não aparece no piso normativo?](#s3)
4. [O que realmente se mede em uma campanha de conscientização?](#s4)
5. [Aberturas e cliques servem como KPI principal?](#s5)
6. [Por que o NIST questiona a leitura linear da taxa de clique?](#s6)
7. [Que evidências vale guardar para auditoria?](#s7)
8. [O que acontece quando o conhecimento declarado não bate com a exposição real?](#s8)
9. [O que muda quando se olha para a América Latina e não só para padrões globais?](#s9)
10. [Por que não convém usar telemetria regional como benchmark direto do programa?](#s10)
11. [Como isso se traduz em uma decisão de amanhã para CISO, TI ou compliance?](#s11)
12. [Consequência operacional](#s12)
13. [O que ler em seguida?](#s13)

Uma campanha de conscientização, vista por CISO, TI e compliance, cruza três frentes que as fontes costumam tratar separadamente: cumprimento mínimo, medição operacional e pressão de risco. O cruzamento mostra que a ISO pede [awareness](https://www.whalemate.com/br/recursos/blog/iso-27001-2022-exige-awareness/) sobre políticas e requisitos, PCI DSS e CIS definem incorporação e piso anual com atualização, e NIST, ENISA e Califórnia pressionam por medir comportamento real com exercícios, KPIs e comparação ao longo do tempo. Com a exposição contínua ao phishing e a lacuna de capacitação na América Latina, tratar a campanha como curso anual ou taxa de conclusão não basta para demonstrar efetividade nem para priorizar intervenções.

Quando colocadas lado a lado, as fontes revelam algo que, isoladamente, não aparece. As normas fixam um piso de cobertura e evidência, mas os referenciais operacionais exigem também observação de comportamento, acompanhamento no tempo e decisões direcionadas por grupo ou função.

| Norma | O que exige | Frequência mínima | O que medir | Evidência auditável | Decisão que habilita | Fonte |
| --- | --- | --- | --- | --- | --- | --- |
| ISO Annex SL 7.3 Awareness | Que as pessoas sob controle da organização tenham consciência da política, dos requisitos do sistema de gestão e de qualquer situação ou aspecto que possa afetar os resultados previstos | não especificado | não especificado | não especificado | Garantir cobertura de awareness sobre políticas e requisitos relevantes | ISO |
| PCI DSS 4.0 requisito 12.6 | Atividade contínua de educação em awareness, programa formal para que todo o pessoal conheça políticas, procedimentos e seu papel, revisão do programa, treinamento na admissão, inclusão de phishing, ataques relacionados e engenharia social, uso de múltiplos métodos e reconhecimento anual de leitura e compreensão | Na admissão e pelo menos uma vez a cada 12 meses, revisão do programa pelo menos uma vez a cada 12 meses | não especificado | Reconhecimento do pessoal, pelo menos uma vez a cada 12 meses, de que leu e compreendeu políticas e procedimentos | Atualizar o conteúdo diante de novas ameaças e vulnerabilidades que possam afetar o ambiente de dados do titular do cartão | PCI Security Standards Council |
| CIS Control 14 | Estabelecer e manter um programa de conscientização e habilidades de segurança para influenciar o comportamento da força de trabalho e reduzir riscos, treinar para reconhecer engenharia social, incluindo phishing, BEC, pretexting e tailgating, treinar sobre autenticação e gestão de credenciais | Na admissão e no mínimo anualmente, revisar e atualizar o conteúdo anualmente ou quando ocorrerem mudanças significativas na empresa | Percentual de membros em conformidade calculado como M6/M3; se a antiguidade do treinamento superar 12 meses, a salvaguarda recebe pontuação 0 e falha | Antiguidade do treinamento e pontuação de conformidade da salvaguarda | Identificar não conformidade objetiva quando o treinamento supera 12 meses e atualizar o conteúdo por mudanças do negócio | Center for Internet Security |
| NIST SP 800-50 Rev. 1 | Programa de aprendizado de cibersegurança e privacidade como abordagem de ciclo de vida adaptável, incluir métricas e métodos de avaliação para melhorar regularmente o programa e atualizá-lo conforme mudam as necessidades, usar táticas como exercícios de phishing, newsletters, webinars, cenários, smishing, vishing, jogos, questionários, tabletop e laboratórios virtuais | não especificado | Taxas atuais de clique por grupo ou função, se a pessoa reportou o e-mail como phishing, clicou em um link, abriu um anexo, percentual de participantes que mudou um comportamento no trabalho | Métricas e métodos de avaliação do programa, resultados observáveis de exercícios de phishing | Determinar se é necessário treinamento mais focalizado por grupo ou função e melhorar regularmente o programa | NIST |
| California SIMM 5320-A e guia estadual de phishing | Documentar um plano e uma política de exercícios simulados de phishing, desenvolver indicadores-chave de desempenho e limiares, registrar métricas durante o exercício, elaborar um relatório resumido para comparar campanhas ao longo do tempo, campanhas controladas trimestrais para testar reconhecimento em tempo real | O guia propõe campanhas trimestrais; o padrão não especifica frequência mínima geral | Taxa de abertura, taxa de clique, taxa de envio de credenciais em página simulada, taxa de reporte, comparação temporal entre campanhas | Os relatórios dos exercícios devem ser mantidos acessíveis porque podem ser solicitados em auditoria | Exigir treinamento adicional ao pessoal que não atingir o limiar mínimo definido pela entidade | California Department of Technology, California Cybersecurity Integration Center |
| ENISA | Executar simulações regulares de phishing, combinar desenvolvimento de capacidades, avaliações regulares de tendências e desafios, medição de comportamentos de cibersegurança e planejamento de campanhas | Simulações regulares de phishing | Alcance, quantidade de pessoas alcançadas, quantidade de incidentes reportados, resultados positivos de testes, aumento de conhecimento, retorno qualitativo, recursos utilizados e custos | não especificado | Identificar o pessoal que precisa de treinamento adicional e ajustar campanhas conforme tendências e desafios | European Union Agency for Cybersecurity |
| Pressão de risco e lacuna na América Latina | não especificado | não especificado | A telemetria da ESET em 2020 mostrou que o Brasil concentrou 26,4% das detecções empresariais de phishing na América Latina, o Peru 22,8%, o México 12%, a Colômbia 9,1% e a Argentina 7,1%; o ESET 2022 descreveu o phishing como uma via de infecção estável, com média aproximada de 10.000 detecções diárias; a Kaspersky informou que 47% das empresas da América Latina não treinam seus funcionários para detectar golpes online | não especificado | Priorizar países, áreas ou populações com maior exposição e fechar lacunas de treinamento sem usar cifras regionais como benchmark universal de efetividade | ESET, Kaspersky |

## Basta cumprir o piso anual de PCI DSS e CIS?

Não. O PCI DSS 12.6.3 exige treinamento na admissão e pelo menos uma vez a cada 12 meses, além de reconhecimento anual de leitura e compreensão das políticas, segundo o PCI Security Standards Council. O CIS Control 14.1 também exige treinamento na admissão e, no mínimo, anual, segundo o Center for Internet Security. A leitura da Whalemate é que esse piso serve para frequência e rastreabilidade, mas não prova por si só mudança de comportamento nem efetividade operacional.

## Por que o próprio CIS desmonta a ideia de que o curso anual basta?

A tensão aparece dentro do próprio campo de controle. O CIS define um mínimo anual no Control 14.1, mas também observa que um vídeo anual pré-fabricado acompanhado de testes periódicos de phishing não constitui, sozinho, um programa robusto, segundo o Center for Internet Security. A leitura da Whalemate é que o mínimo anual organiza o compliance, mas o desenho do programa precisa ser mais frequente, mais contextual e mais específico para o risco real.

## O que NIST, ENISA e Califórnia acrescentam que não aparece no piso normativo?

A NIST SP 800-50 Rev. 1 propõe uma abordagem de ciclo de vida, com métricas e métodos de avaliação para melhorar regularmente o programa, segundo o NIST. A ENISA recomenda simulações regulares de phishing e [medição de comportamentos](https://www.whalemate.com/br/recursos/blog/nist-cis-pci-engenharia-social/), segundo a European Union Agency for Cybersecurity. A Califórnia exige plano, KPIs, limiares, registro de métricas e relatórios comparáveis ao longo do tempo, e seu guia propõe campanhas trimestrais, segundo a California Department of Technology e a California Cybersecurity Integration Center. A leitura da Whalemate é que essas fontes deslocam a conversa de dar treinamento para observar se o comportamento muda.

## O que realmente se mede em uma campanha de conscientização?

Separar cobertura de comportamento é a parte crítica. Para cobertura, PCI DSS e CIS permitem olhar incorporação, vigência anual, revisão do conteúdo e reconhecimento de políticas, segundo o PCI Security Standards Council e o Center for Internet Security. Para comportamento, NIST propõe medir cliques por grupo ou função, reportes, abertura de anexos e mudança observável no trabalho, enquanto a Califórnia soma abertura, clique, envio de credenciais e reporte, segundo o NIST e a California Cybersecurity Integration Center.

## Aberturas e cliques servem como KPI principal?

Servem, mas não bastam sozinhos. A CISA descreve relatórios de campanhas que mostram quantos usuários abriram e quantos clicaram, segundo a Cybersecurity and Infrastructure Security Agency. A SANS identifica a taxa de clique e a taxa de reporte como duas métricas centrais, segundo o SANS Institute. Mas o NIST alerta que avaliar a efetividade usando só a taxa de clique isola mal o fenômeno humano e a dificuldade da mensagem, segundo o NIST. A leitura da Whalemate é que cliques e aberturas servem como sinal, não como veredito.

## Por que o NIST questiona a leitura linear da taxa de clique?

Porque a mesma taxa pode significar coisas diferentes se muda a dificuldade do e-mail ou o contexto humano. O NIST descreve a NIST Phish Scale como uma medida da dificuldade de detecção humana de um e-mail de phishing, criada em 2019 com dados empíricos do mundo real, segundo o NIST. A leitura da Whalemate é que comparar campanhas sem ponderar a dificuldade pode levar a decisões erradas, por exemplo reagir de forma exagerada a um clique alto em uma simulação muito mais sofisticada.

Whalemate

Quer ver a Whalemate na sua organização?

Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso.

[Agendar uma demo](https://www.whalemate.com/br/demo/)

## Que evidências vale guardar para auditoria?

O PCI DSS 12.6.3 exige obter pelo menos uma vez a cada 12 meses o reconhecimento do pessoal de que leu e compreendeu as políticas e procedimentos, segundo o PCI Security Standards Council. A California SIMM 5320-A indica que os [relatórios dos exercícios](https://www.cdt.ca.gov/wp-content/uploads/policy/simm/SIMM-5320-A-Phishing-Exercise-Standard.pdf) devem ser mantidos acessíveis porque podem ser solicitados em auditoria, segundo a California Department of Technology. A Microsoft ainda afirma que o Attack Simulation Training requer auditoria habilitada para capturar, registrar e recuperar eventos de atividade, segundo a Microsoft. A leitura da Whalemate é que, sem evidência retida, o programa existe mais no PowerPoint do que na auditoria.

## O que acontece quando o conhecimento declarado não bate com a exposição real?

Aí aparece uma das tensões mais incômodas. A Universidade do Panamá informou média de conhecimento de 8,94 sobre 10, 84% dos participantes se considerou vulnerável ao phishing e 88% declarou conhecer diferentes tipos de ameaças, segundo a Universidade do Panamá. Já o Verizon 2025 DBIR indicou que o fator humano esteve envolvido em aproximadamente [60% das violações](https://www.verizon.com/business/resources/reports/2025-dbir-executive-summary.pdf) e que phishing e pretexting lideram as ações sociais, segundo a Verizon. A leitura da Whalemate é que percepção e autoavaliação não substituem medição comportamental.

## O que muda quando se olha para a América Latina e não só para padrões globais?

Muda a pressão de decisão, não a lógica de medição. O ESET Security Report LATAM 2021 informou, com telemetria de 2020, que o Brasil concentrou [26,4% das detecções empresariais](https://web-assets.esetstatic.com/wls/2021/06/ESET-security-report-LATAM2021.pdf) de phishing na América Latina, o Peru 22,8%, o México 12%, a Colômbia 9,1% e a Argentina 7,1%, segundo a ESET. O ESET Security Report LATAM 2022 descreveu o phishing como uma via de infecção estável, com média aproximada de 10.000 detecções diárias, e a Kaspersky informou que 47% das empresas da América Latina não treinam seus funcionários para detectar golpes online, segundo a ESET e a Kaspersky. A leitura da Whalemate é que há exposição contínua e lacuna de treinamento, mas esses números não devem virar benchmark universal de efetividade.

## Por que não convém usar telemetria regional como benchmark direto do programa?

Porque mistura populações, anos e metodologias diferentes. O próprio material adverte que as cifras regionais da ESET e da Kaspersky devem manter seu ano e sua metodologia e não devem ser transformadas em taxa de efetividade da capacitação. A leitura da Whalemate é que esses números servem para justificar prioridade e orçamento, não para afirmar que uma área própria está melhor ou pior sem medição interna comparável.

## Como isso se traduz em uma decisão de amanhã para CISO, TI ou compliance?

A decisão habilitada não é comprar mais conteúdo genérico, e sim redesenhar o programa como ciclo contínuo. Segundo o NIST, o programa pode começar pela determinação das taxas atuais de clique por grupo ou função para avaliar se é necessário treinamento mais focalizado. Segundo a Califórnia, também convém definir limiares e exigir treinamento adicional de quem não os atingir. Segundo PCI DSS e CIS, além disso, é preciso sustentar incorporação, revisão e atualização anual com evidência de conformidade. A leitura da Whalemate é que o dado útil não é quem concluiu um curso, e sim qual grupo, função ou área precisa de intervenção específica e consegue demonstrar isso.

## Consequência operacional

Para uma equipe de CISO, TI ou compliance na América Latina, campanha de conscientização deve significar um programa contínuo com quatro camadas. Primeiro, cobertura mínima e rastreável, incorporação, piso anual, atualização do conteúdo e reconhecimento de políticas, segundo o PCI Security Standards Council e o Center for Internet Security. Segundo, medição separada entre cobertura e comportamento, com KPIs como alcance e conclusão de um lado, e clique, reporte, envio de credenciais, abertura de anexos, tempo de reporte e repetição de falhas de outro, segundo o NIST, a Califórnia, a CISA e a SANS.

Terceiro, evidência auditável, com registros de reconhecimento, métricas, resultados e relatórios comparáveis ao longo do tempo, segundo o PCI Security Standards Council e a California Department of Technology. Quarto, decisão focalizada, usando resultados por grupo, função ou área para impor treinamento adicional, priorizar recursos e justificar orçamento diante de uma pressão de risco em que o phishing segue estável na região e quase metade das empresas latino-americanas não treina seu pessoal, segundo a ESET e a Kaspersky.

## O que ler em seguida?

- [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/)
- [NIST e CISA explicam engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/)
- [PCI DSS e phishing vs spam na LATAM](https://www.whalemate.com/br/recursos/blog/pci-dss-phishing-vs-spam/)

[Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/)

Perguntas

## Perguntas frequentes

**Uma campanha de conscientização é a mesma coisa que um curso anual?**

Não. O PCI DSS 12.6 exige um programa de conscientização em segurança como atividade contínua, e o CIS Control 14 exige estabelecer e manter um programa para influenciar o comportamento da força de trabalho, segundo o PCI Security Standards Council e o Center for Internet Security. Um curso anual pode cobrir parte do requisito, mas não esgota a medição nem a intervenção operacional.

**Qual KPI um CISO deveria olhar primeiro?**

Primeiro, convém separar KPIs de cobertura de KPIs de comportamento. Cobertura inclui incorporação, vigência anual, alcance e conclusão. Comportamento inclui cliques, reportes, abertura de anexos, envio de credenciais e mudança observável no trabalho, segundo o NIST e a California Cybersecurity Integration Center. Essa separação evita confundir compliance documental com redução real do risco humano.

**Que evidência convém reter para uma auditoria?**

No mínimo, reconhecimento anual de leitura e compreensão de políticas, segundo o PCI DSS 12.6.3 do PCI Security Standards Council. Se houver simulações, também convém reter relatórios, métricas e comparações históricas, porque a California SIMM 5320-A indica que esses relatórios devem permanecer acessíveis para auditoria. Se a plataforma exigir, também é preciso habilitar e conservar os eventos de auditoria, segundo a Microsoft.

**As simulações de phishing são obrigatórias?**

Nem todas as fontes as colocam como obrigação universal, mas várias as impulsionam fortemente como prática de medição. O NIST as inclui como tática possível para awareness e avaliação, a ENISA recomenda simulações regulares, e a Califórnia exige documentar exercícios simulados com métricas e relatórios, segundo o NIST, a ENISA e a California Department of Technology. Operacionalmente, elas são a ponte entre conscientização e evidência comportamental.

**É possível usar um número regional de phishing para demonstrar efetividade interna?**

Não de forma direta. O material indica que números como a telemetria regional da ESET ou a lacuna de capacitação reportada pela Kaspersky devem manter seu ano e sua metodologia e não devem ser transformados em benchmarks universais nem em taxa de efetividade da capacitação. Eles servem para dimensionar a exposição e justificar prioridade, não para substituir métricas próprias comparáveis ao longo do tempo.

Whalemate

Esse risco está no seu programa?

Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo.

[Agendar uma demo](https://www.whalemate.com/br/demo/)

## Gostaria de se aprofundar neste tema?

Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas.

- [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CCampanha%20de%20conscientiza%C3%A7%C3%A3o%3A%20o%20que%20exige%20e%20o%20que%20mede%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.)
- [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CCampanha%20de%20conscientiza%C3%A7%C3%A3o%3A%20o%20que%20exige%20e%20o%20que%20mede%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.)

Neste artigo

1. [Basta cumprir o piso anual de PCI DSS e CIS?](#s1)
2. [Por que o próprio CIS desmonta a ideia de que o curso anual basta?](#s2)
3. [O que NIST, ENISA e Califórnia acrescentam que não aparece no piso normativo?](#s3)
4. [O que realmente se mede em uma campanha de conscientização?](#s4)
5. [Aberturas e cliques servem como KPI principal?](#s5)
6. [Por que o NIST questiona a leitura linear da taxa de clique?](#s6)
7. [Que evidências vale guardar para auditoria?](#s7)
8. [O que acontece quando o conhecimento declarado não bate com a exposição real?](#s8)
9. [O que muda quando se olha para a América Latina e não só para padrões globais?](#s9)
10. [Por que não convém usar telemetria regional como benchmark direto do programa?](#s10)
11. [Como isso se traduz em uma decisão de amanhã para CISO, TI ou compliance?](#s11)
12. [Consequência operacional](#s12)
13. [O que ler em seguida?](#s13)

Whalemate

Esse risco está no seu programa?

[Agendar uma demo](https://www.whalemate.com/br/demo/)

## Artigos relacionados

[!\[LATAM: o que avaliar em plataformas de awareness\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-avaliar-plataformas-awareness.webp)](https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/)

Conscientização

29 de out. de 2026
Por Federico Hombre

### LATAM: o que avaliar em plataformas de awareness

Para CISO, TI e compliance, uma plataforma de awareness serve para medir, segmentar e auditar comportamento, não só para treinar.

Ler mais

[!\[PCI, CISA e NIST: phishing vs vishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp)](https://www.whalemate.com/br/recursos/blog/pci-cisa-nist-phishing-vs/)

Conscientização

28 de out. de 2026
Por Federico Hombre

### PCI, CISA e NIST: phishing vs vishing

PCI DSS, NIST, CISA e CTIR mostram que phishing e vishing exigem controles diferentes. Métricas, evidências e compliance mudam.

Ler mais

[!\[Phishing e spear phishing mudam a medição do CISO\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-spear-phishing-mudam-medicao.webp)](https://www.whalemate.com/br/recursos/blog/phishing-spear-phishing-mudam-medicao/)

Conscientização

27 de out. de 2026
Por Federico Hombre

### Phishing e spear phishing mudam a medição do CISO

A diferença entre ataques massivos e dirigidos muda métricas e controles. Medir só cliques ou depender de um curso anual não basta.

Ler mais

[Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)